Évaluer les besoinsde sécurité de votreorganisation
Une démarche essentielle pourvotre posture de sécurité globale
Comprendre les besoins uniques de votre organisation en matière desécurité est un art qui relève à la fois de la théorie et de la pratique.
Malgré cette dualité, il reste fermement ancré dans la logique.
Il s’appuie en effet sur les données de vulnérabilité recueillies lorsdes évaluations des risques, ainsi que sur la télémétrie des terminauxcollectée par le biais de la visibilité et de la surveillance. Il repose
enfin sur une excellente connaissance des exigences réglementaires
en vigueur. Tous ces éléments, lorsqu’ils sont combinés, orientent
l’acquisition d’outils de sécurité et aident les organisations à atteindre

Dans ce document,nous abordons plusieurs
thèmes clés :>	
Ce qu’est le risque, et comment lesdonnées télémétriques collectées
apportent une visibilité sur l’état desappareils et la posture de sécurité
globale>	Pourquoi l’évaluation des risques(et préserver) leurs objectifs de conformité.

doit être une démarche récurrente

Pour assurer le succès de votre organisation à long terme, vous

la pile de sécurité

devez prendre son pouls en permanence. Demandez à n’importe queldirigeant d’entreprise comment rester performant, et il vous répondra
certainement que vous devez comprendre les besoins de votre

et itérative, intégrée à la gestion de>	Comment ces données aident
votre organisation non seulement àdéterminer ses besoins de sécurité,organisation et exploiter ces informations à bon escient, de manière à

mais peuvent aussi la protéger contre

minimiser les risques tout en maximisant les opportunités de progrès.

les risques actuels et futurs

C’est particulièrement vrai pour ceux qui ont réussi à maintenirleurs activités malgré les ralentissements économiques et les crises
sanitaires, parfois sur plusieurs décennies.

>	
Pourquoi l’intégration des donnéesde risque aux solutions de sécuritédes terminaux permet de maintenir
une posture de sécurité forte tout en
respectant les objectifs de conformitéde l’organisation

Cette conviction est valable quel que soit le type d’entreprise

Et c’est sans compter les acteurs malveillants qui sondent etque vous dirigez. Prenez les films et la musique, par exemple.

testent activement les défenses de votre réseau à la recherche

Le divertissement existe depuis des siècles. À des degrésde signes de faiblesse et de vecteurs d’attaque à exploiter.

divers, elle a résisté à l’épreuve du temps en comprenant les
attentes de son public cible et en transformant son offre pourEn d’autres termes, l’évaluation des risques doit être effectuée

mieux y répondre.

régulièrement et s’inscrire dans le cadre d’une stratégie
globale de cybersécurité. Les données d’évaluation obtenues

C’est un processus continu et évolutif.

ne doivent pas seulement être utilisées pour connaître l’état
actuel de la sécurité ; elles doivent aussi informer de manière

Et la cybersécurité fonctionne à peu près de la même manière.

itérative le plan holistique de défense en profondeur deMais plutôt que d’évaluer les exigences de leurs clients, cel’organisation, qui vise à :sont leurs propres opérations que les organisations doivent
examiner, afin de déterminer ce qui est nécessaire au
maintien de la continuité et de la sécurité de leurs activités
commerciales. L’évaluation des risques porte sur tous les actifs,
des appareils aux données en passant par l’infrastructure etles logiciels, et englobe les processus et les règles de votreorganisation. Ce sont en effet toutes les pièces du puzzle de laposture de sécurité.
Fortes de ces informations, les organisations vont évaluer lesrisques et les vulnérabilités de leur stratégie de cybersécurité
actuelle. Elles pourront ensuite passer à l’action pour lescorriger et atténuer les menaces.

• Établir les étapes du cycle de vie des appareils etdes applications• Fournir, configurer et déployer des contrôles de sécurité• Atteindre les objectifs réglementaires et assurer
la conformité• Identifier les menaces existantes et émergentes,
et leur attribuer des niveaux de criticité et de gravité• Maintenir l’alignement entre la tolérance au risqueet les stratégies d’atténuation• Réviser et mettre en œuvre des procédures de réponse

L’évaluation des risques n’est pas un processus isolé. Lesbonnes pratiques recommandent de la renouveler à intervalles
réguliers La technologie est dynamique par nature, et toutétat est nécessairement transitoire. Cette situation est lourdede conséquence sur le plan de la sécurité : les bogues, aussi
inévitables que récurrents, créent des vulnérabilités qui
abaissent la posture de sécurité. En bout de ligne, ce sont les
appareils, les utilisateurs et les données qui sont exposés.

aux incidents• Mettre à jour et instituer des stratégies de prévention desmenaces, telles que la formation des utilisateurs finaux.

Évaluation des risques

Quelles sont les menaces ?

Nous avons compris l’importance de l’évaluation desL’évaluation des risques implique également de connaître

risques, mais en quoi consiste-t-elle exactement ?

les menaces existantes et l’impact qu’elles peuvent avoir

Quels actifs sont réellement en danger ? Si les détails

sur votre système. Vos équipes informatiques et de sécurité

varient selon l’organisation et son secteur, il s’agit

pourront alors identifier la partie la plus vulnérable deessentiellement de comprendre :votre organisation, la probabilité d’une attaque et ses• Le paysage des menaces• Les vulnérabilités de votre organisation

conséquences potentielles.

EXEMPLE• La probabilité d’une attaque• L’impact d’une attaque sur votre organisation• La rapidité avec laquelle votre organisation
peut se remettre d’une attaque grave« Pour connaître son ennemi, vous devez
devenir votre ennemi. » – Sun Tzu
Voyons à quelles questions une évaluation des risques

Le cadre MITRE ATT&CK aide les équipes de sécurité à
mieux comprendre de quelle façon des pirates pourraient
attaquer votre système. Et pour faire face aux menaces
inconnues, elles peuvent se tourner vers la recherche desmenaces et l’utilisation de logiciels d’IA et de machinelearning (ML), conçus pour identifier les comportements
suspects ou malveillants. L’IA et le ML travaillent sansrelâche en coulisses pour identifier toute anomalie pardoit répondre.

rapport au comportement de référence de votre réseau.

Quelles sont les zones
de vulnérabilité de monorganisation ?

renseignement sur les menaces et de reconnaissance deMatériel, logiciels, interfaces et interactions des fournisseurs
avec votre infrastructure réseau... un attaquant peut utiliser
de nombreux points d’entrée pour exploiter votre système.
Il peut également cibler tout utilisateur qui a accès à ces
composants. Les vulnérabilités peuvent également setrouver dans les processus et les règles de votre entreprise.
Vous devez inventorier et classer tous ces composantspour avoir une bonne compréhension de votre infrastructure.

Capables de traiter de vastes ensembles de données deschémas, ces outils doivent occuper une place de choix
dans votre arsenal de cybersécurité. De plus, les données
qu’ils collectent peuvent être partagées avec l’ensemblede la communauté de la sécurité, afin d’enrichir la base deconnaissances sur les menaces à l’échelle mondiale.
Si vous connaissez les vecteurs de menaces les plus
courants, vous pourrez traiter en priorité les parties devotre organisation qui ont le plus besoin d’être défendues.
Les menaces prennent de nombreuses formes. Selon leRapport 2023 de Verizon sur les enquêtes sur lesviolations de données, les attaquants s’infiltrent dans lesVous avez besoin de savoir :organisations en volant des identifiants, en recourant au• Quels appareils accèdent à votre réseau

violations de données proviennent de sources totalement• Qui a accès à vos données

phishing et en exploitant des vulnérabilités. En général, lesexternes, mais une part non négligeable (jusqu’à 40 %) desfailles s’appuie sur l’exploitation de logiciels de partenaires.

• Si vous appliquez les bonnes pratiques de sécurité

Pour se défendre contre ces menaces, il faut procéder à(principe du moindre privilège, obligation de mot deune analyse approfondie des configurations et des règles

passe fort, etc.)

en vigueur. Nous y reviendrons plus tard.

• Si vos fournisseurs introduisent des vulnérabilités dansvos systèmes• Si les utilisateurs sont formés à reconnaître les menaces
potentielles et à pratiquer une bonne hygiène de sécurité

Quel serait l’impact d’une cyberattaque sur mon organisation ?
Comprendre la probabilité d’une menace permet d’établir des priorités dans votre stratégie
de défense. Mais vous devez également évaluer l’impact d’une menace sur la mission
de votre organisation, en particulier sur le plan financier : en moyenne, le coût total d’une
violation de données s’élevait à 4,35 millions de dollars en 2022, selon le rapport d’IBM
sur le coût d’une violation de données. Pensez également au temps perdu, car il faut en
moyenne 277 jours pour identifier et contenir une violation. N’oubliez pas non plus lesconséquences sur vos relations avec les clients. La réputation n’est pas le seul enjeu :60 % des organisations touchées par une violation en 2022 ont dû augmenter leurs prix.
Il faut enfin tenir compte des éventuelles amendes infligées par les autorités de régulationen cas de défaut de conformité.

Quelle est l’étape suivante ?
Naturellement, plus l’impact d’une attaque est important, plus la défense des systèmesconcernés devient prioritaire. Il en va de même pour les attaques dont la probabilité est
plus élevée. La combinaison de ces deux paramètres – l’impact et la probabilité – permetde quantifier le risque que certaines menaces représentent pour votre organisation. Arméd’une bonne compréhension du risque, vous saurez établir des priorités et identifier
plusieurs éléments clés :• Quels systèmes critiques ont le plus besoin d’être protégés (ceux dont la défaillance
entraînerait la plus grande perte de fonctionnalités stratégiques)• Quels contrôles mettre en place pour une stratégie de défense optimale• Quels outils logiciels peuvent améliorer votre posture de sécurité• Le niveau de risque que vous pouvez supporter (votre tolérance au risque)Il est maintenant temps de mettre en œuvre les enseignements tirés de votre évaluation
des risques. Dans les prochaines sections, nous aborderons la télémétrie de votre réseau
et de vos appareils, ainsi que les directives à suivre pour élaborer et revoir vos règles desécurité.

Visibilité et suivi
Vous avez évalué les risques, vous les avez identifiés et vous avez établi votre degré
de tolérance. Vous avez également fait quelques changements pour mettre en place etconfigurer des contrôles de sécurité, afin d’atténuer les risques identifiés. Votre posture desécurité est solide. Les membres de l’organisation ont reçu la formation nécessaire pouridentifier les menaces actuelles. Ils savent qu’elles doivent systématiquement être signaléeset prises en charge. Les terminaux sont protégés contre les menaces, les objectifs deconformité sont atteints, tous les appareils sont conformes. Et maintenant ?

Peut-on dire que les équipes informatiques et de sécurité ont
terminé leur travail et qu’elles peuvent prendre des vacancesbien méritées ? Malheureusement, non.
La technologie reste profondément dynamique et, dansnotre contexte, cela veut dire une chose : ce qui est
sécurisé aujourd’hui ne le sera pas nécessairement demain.
Pour protéger vos appareils, votre infrastructure et votreorganisation des menaces de sécurité omniprésentes,
vous devez connaître l’état des terminaux à tout moment.
« On ne peut conduire une armée en marchesans connaître pas la physionomie du pays... »– Sun Tzu, L’art de la guerre
Les données télémétriques enregistrées par la surveillance
active de l’état des appareils contiennent une mined’informations utiles pour préserver la posture de sécuritédes appareils et de l’organisation. D’ailleurs, puisque nous
abordons la question de la conformité, sachez que lesdonnées télémétriques sont essentielles pour s’assurer queles terminaux sont configurés conformément aux exigences
réglementaires – et apporter la preuve de leur conformitéà tout moment. C’est crucial pour obtenir une certification

Quel type de données la surveillance
permet-elle de collecter ?
Avant d’examiner les données télémétriques recueillies,
rappelons qu’il existe deux types de surveillance :• Passive : les données de santé sont collectées lentement,
généralement sur une période définie pour minimiser
l’impact sur l’utilisateur final ou les performances
de l’appareil. Parce que la capture des données est
intermittente, la collecte de la télémétrie peut être lente
et retarder la création d’un profil de référence complet.
En outre, tout retard peut avoir une incidence directe sur
l’exactitude ou l’actualité des données, en particulier si
des jours ou des mois s’écoulent entre les captures.
• Active : les données de santé sont régulièrement
communiquées par les terminaux. Les terminaux sontsondés à intervalle régulier et les informations sonttransmises à un référentiel centralisé, souvent entemps réel.
Dans les deux cas, les données capturées sont identiques
ou presque. Pourtant, les deux approches présentent desréglementaire, comme PCI-DSS pour les organisations qui

différences majeures à plusieurs égards :souhaitent accepter et traiter des paiements par carte en• Méthode de capture des données télémétriques

toute sécurité.
De plus, la visibilité obtenue grâce à la surveillance permet
de prendre des décisions éclairées tout au long du cyclede vie des appareils et des applications. Le processus desurveillance apporte aux équipes informatiques ou de sécurité
des informations actualisées sur l’état de leurs appareils, leslogiciels qui s’y exécutent et certaines activités des utilisateurs
finaux. Mais il offre aussi aux administrateurs et à la gestionde riches données de télémétrie, très utiles pour prendre desdécisions visant à garantir la conformité des appareils et lasécurité des utilisateurs et des données.

• Temps nécessaire à l’établissement d’un profil
de référence• Exactitude des informations• Fréquence de mise à jour des données de télémétrie
Certes, les deux types de surveillance ont chacun leursavantages et leurs inconvénients. Mais une chose est claire :face à un paysage des menaces immense et en évolution
rapide, seule une surveillance active s’avère efficace pourrecueillir les données les plus récentes sur la santé desappareils. Une fois converties en informations exploitables,
ces données permettent de combler les lacunes de votre plande sécurité. Rappelez-vous l’axiome de la sécurité : « Vous ne
pouvez pas protéger ce que vous ne voyez pas », cité dansl’article de SecurityWeek Surveillance active ou passive :vous n’avez plus le choix.

Les types de données télémétriques collectées et leur intérêt pour votre posture de sécurité :• Mises à jour des OS : identifiez la version du système• Code malveillant : le code malveillant peut se manifesterd’exploitation (OS) pour savoir si les appareils possèdent

sous différentes formes. Un cheval de Troie déguisé

les fonctionnalités et les protections les plus récentes afin

en application légitime, un programme installé parde minimiser les vulnérabilités.

sideloading, la visite involontaire d’un site web compromis,• Correctifs des applications : tout comme l’OS, lesapplications doivent recevoir des correctifs, qui rectifient
des bugs et atténuent des vulnérabilités.
• Paramètres de configuration : le renforcement desappareils est essentiel à la posture de sécurité. L’objectif
n’est pas seulement de les configurer pour une sécurité
maximale : cela permet également de minimiser le risquede mauvaise configuration, responsable de 21 % desfailles de données causées par des erreurs (Rapport
2023 sur les enquêtes sur les violations de données,
Verizon).
• Activité du réseau : avec quel contenu web les appareils
communiquent-ils ? Les connexions non fiables sontelles sécurisées ? Sur quels ports voit-on des données
circuler ? Les réponses à ces questions et à d’autres,
essentielles, concernant l’utilisation du réseau, permettent
de déterminer la posture de sécurité de vos appareils.
• Analyse comportementale : si les utilisateurs sontconsidérés comme le maillon faible de la chaîne desécurité, c’est pour une excellente raison. Ce sont eneffet les disparités dans leur connaissance du sujet qui
expliquent le succès des attaques d’ingénierie sociale.
Avec une meilleure visibilité sur le comportement desutilisateurs, les administrateurs ont une idée plus précise
de la manière dont ils peuvent introduire des risques
introduits – et ainsi s’en protéger.
• Audit d’authentification : les protocoles d’authentification
et la gestion des mots de passe protègent les appareils etleurs données sensibles. Mais aussi robuste et complexe
soit-il, un verrou ou un mot de passe complexe ne vous dit
pas si les utilisateurs partagent leurs identifiants ou si leurscomptes ont été compromis. Et l’enjeu est encore plus
grand dans les environnements de travail hybrides où une
gestion basée sur des règles doit assurer la sécurité desterminaux distants.

une menace fonctionnant silencieusement en arrièreplan... Toutes ces nuisances peuvent compromettre laconformité d’un appareil, en particulier dans le contexte dela multiplication des attaques visant les mobiles, devenus
omniprésents.
• Enregistrement des erreurs : les appareils enregistrent
tout. Plus le parc à surveiller est vaste, plus il est difficile
pour les administrateurs de traiter chaque problème
signalé. Ce qui arrange bien les pirates. Mais cettesituation est loin d’être inévitable. Avec une bonne gestion
et l’appui d’une solution de gestion des informations etdes événements de sécurité (SIEM) pour trier et interpréter
ce grand flux de télémétrie, l’enregistrement des erreurs etla détection des menaces peuvent devenir extrêmement
efficaces.
• Processus système : les administrateurs ont besoin desavoir quelles applications s’exécutent sur les appareils
qu’ils supervisent. Toujours grâce au contrôle du profil deréférence, ils sont avertis en cas d’utilisation d’outils nonvalidés (Shadow IT) ou interdits, susceptibles de dégrader
la sécurité, de faciliter les fuites de données ou de mettre
à mal la confidentialité des utilisateurs.
• Conformité aux audits : la visibilité de la santé desterminaux concerne autant sur ce qu’on connaît que
ce que l’on ignore. Dans les secteurs réglementés, lesorganisations qui veulent connaître leur posture deconformité doivent à la fois savoir comment atteindre leurs
objectifs et collecter des preuves de leurs démarches.

Mais peut-on utiliser les données de télémétrie pour atténuer
automatiquement les risques ?
Parfaitement, c’est possible. En effet, plusieurs facteurs rendent la gestion des risquesbeaucoup plus difficile :• Acquisition de grandes quantités d’appareils de différents types• Nécessité d’assurer la sécurité d’une flotte composée d’appareils d’entreprise etd’appareils personnels• Prise en charge des employés en télétravail• Convergence de deux types de menaces ou plus dans le cadre d’attaques complexes
sur plusieurs fronts• Application de réglages de sécurité pour maintenir la conformité des terminaux
Il est préférable d’automatiser la collecte, l’analyse et le tri des données télémétriques plutôt
que d’effectuer chaque étape manuellement. Le volume de données à analyser est en effet
considérable, chaque tâche doit être réalisée le plus rapidement possible – et les humains
ont régulièrement besoin de s’arrêter pour se nourrir et se reposer.
Les ordinateurs ne font pas de pauses.
En confiant « le gros du travail » à des systèmes grâce à l’automatisation, les organisations
gagnent du temps et économisent de précieuses ressources. Leurs équipes peuvent alors
se concentrer sur la prévention des attaques plutôt que de faire face à leurs conséquences.
Après l’évaluation des risques, la surveillance active est la deuxième couche de votre plande sécurité, et elle aussi permet d’établir les besoins de votre organisation. La surveillance
continue de votre flotte collecte et transmet en temps réel des données télémétriques qui
informent votre solution de sécurité des terminaux sur l’état des appareils. Les lacunes et
les comportements anormaux détectés peuvent être automatiquement signalés aux équipes
informatiques ou de sécurité (au minimum) qui pourront fixer les prochaines étapes. Les
détections peuvent également servir à lancer des workflows automatisés de réponse aux
incidents. Vous pourrez ainsi, par exemple, supprimer des logiciels suspects connus sur lesappareils ou mettre en quarantaine des terminaux infectés par un ransomware
Des workflows plus sophistiqués encore deviennent possibles en intégrant les solutionsde sécurité des terminaux à d’autres outils – gestion des identités, gestion des appareils
mobiles (MDM) – pour décupler les capacités d’automatisation.

Conformité
Si ce document est ponctué de citations de L’art de la guerre

Quels workflows permettent d’identifier etde minimiser les différents types de risques ?

de Sun Tzu, c’est pour relier d’un fil rouge les thèmes centraux

Il est important de faire la distinction entre directives, cadres

que doivent aborder les professionnels de l’informatique etet références avant de poursuivre. Les directives ont dede la sécurité lorsqu’ils procèdent à l’évaluation des risques

simples affinités avec les bonnes pratiques. Il n’y a pas

et des besoins de leur organisation en matière de sécurité.

toujours de règles strictes à suivre – plutôt un ensemble deL’objectif est de combler les moindres lacunes tout en

pratiques qui aident les organisations à gérer diverses formes

comprenant que chaque étape est cruciale en soi. Chacune

de risque à un niveau général.

d’elles collecte en effet des informations qui informent

Les cadres, quant à eux, ont ADN est similaire à celui desdirectement sur l’étape suivante.

bonnes pratiques. Ils visent à concaténer l’ensemble desPour bien comprendre vos besoins de sécurité, vous nedevez pas seulement savoir quelles vulnérabilités sontprésentes à un moment donné. Il faut également déterminercomment les corriger et quelles stratégies mettre en œuvre

informations, pratiques, réglages, contrôles et workflows
nécessaires pour atteindre ou dépasser un objectif spécifique,que ce soit celui de l’organisation ou d’une autorité deréglementation.

pour garantir la conformité de vos terminaux à vos règles,

Les profils de référence ont des points avec les deuxque votre organisation fasse ou non partie d’un secteur

précédents types de guide : ils poursuivent également unréglementé. L’objectif : rester en conformité aux normes deobjectif de conformité, mais leur angle est différent. Les

votre secteur ou, dans les secteurs non réglementés, à celles

directives suggèrent des bonnes pratiques, les cadres lesde l’entreprise. Dans les deux cas, vous cherchez à maintenirorganisent de manière structurée dans un objectif particulier,la sécurité et la confidentialité des utilisateurs en réduisantmais les références ne sont pas mises en œuvre de la mêmeles risques. Pour cela, vous allez vous appuyer sur un cadre

manière. Elles jouent un rôle de baromètre : les organisations

structuré pour préserver la posture de sécurité de vos

les utilisent pour mesurer leur performance par rapport à unappareils et de votre organisation.

objectif réglementaire ou commercial.

« L’art suprême de la guerre consiste à soumettre

Pour simplifier, on peut voir les directives comme desl’ennemi sans combattre. » – Sun Tzu

ingrédients. En les assemblant, on obtient des cadres – ou un

Dans n, les « ennemis » sont les pirates et tout ce qui peut
introduire un risque dans votre organisation. Le risqueprovient en effet d’une vulnérabilité qui, si elle est exploitée,plat, si vous voulez. Enfin, les références sont les critiques quidéterminent si le plat a été préparé correctement, selon lesingrédients et la recette choisis. Bon appétit.

peut avoir des conséquences très lourdes. Mais au stade deUne fois ces nuances comprises, nous pouvons utiliser cesl’évaluation des besoins, il n’est pas utile de s’inquiéter decadres et ces références pour comprendre nos besoins dela multitude d’ennemis potentiels qui planent au-dessus dessécurité et y répondre le plus précisément possible.

réalités immédiates de votre réseau. Il vaut mieux s’intéresser
à la diversité des risques eux-mêmes qu’à leur origine. C’est
comme cela que les administrateurs pourront réellement
déterminer la meilleure approche pour maintenir la conformitéet protéger les appareils, les utilisateurs et les données contre
les menaces actuelles et émergentes.

Cadres couramment utilisés dans la planification de la sécurité
Le document National Institute for Standards andNorme de sécurité des données de l’industrie des cartes deTechnology (NIST) SP 800-53, Rev. 5 : Security andpaiement (PCI-DSS) : ce standard de facto régit les exigences

Privacy Controls for Information Systems and Organizations

techniques et opérationnelles propres au traitement des(Contrôles de sécurité et de confidentialité pour les systèmes

données de paiement par carte de crédit. Il est appliqué pard’information et les organisations) fournit un catalogue deles principaux émetteurs de cartes à l’échelle mondiale.

contrôles de sécurité et de confidentialité pour les systèmesd’information et les organisations. Son but : protéger lesopérations et les actifs des organisations d’un large éventail
de menaces et de risques.

Certification du modèle de maturité de la cybersécurité(CMMC) 2.0 : basé sur les exigences de sécurité de plusieurs
publications spéciales du NIST, ce modèle à plusieurs niveauxfournit des niveaux de certification pour les organisations

Le document NISTIR 8011, Vol. 4 : Automation Support

qui remplissent les critères cumulatifs des niveaux CMMC etfor Security Control Assessments (Prise en charge derespectent les pratiques associées dans tous les domaines.

l’automatisation pour l’évaluation des contrôles de sécurité),se concentre sur l’automatisation de l’évaluation des contrôlesde sécurité au sein de chaque fonction de sécurité del’information. Il aborde également la gestion des risques crééspar les défauts présents dans les logiciels sur le réseau.

Évaluation des risques de l’OWASP : composé d’outils de testde sécurité, d’évaluation des risques et d’analyse, ce cadre
de l’OWASP vise à éliminer l’incertitude liée à la compatibilitéet à la complexité des processus de configuration del’environnement. Son but : fournir un moyen simple

ISO/IEC 27001 : systèmes de gestion de la sécurité de« d’analyser et d’examiner la qualité et les vulnérabilités dul’information (SGSI), est l’une des normes les plus employées

code sans aucune configuration supplémentaire » et « aider

pour définir les exigences auxquelles doit répondre un SGSI.

les développeurs à écrire et à produire du code sécurisé ».

Le cadre fournit des orientations globales pour définir, mettreen œuvre, maintenir et améliorer en permanence un systèmede gestion de la sécurité de l’information.

Projet de conformité de la sécurité macOS : projet conjoint
de l’équipe opérationnelle de sécurité informatique fédérale
du NIST, de la NASA, de l’Agence des systèmes d’information

Cyber Essentials : cette initiative britannique donne desde la défence (DISA) et du Laboratoire national de Los Alamos

conseils pour protéger votre organisation, quelle que soit

(LANL), cet effort open source vise à fournir une approchesa taille, contre toute une série de cyberattaques courantes.

programmatique pour générer des conseils de sécurité.

Elle se décompose en plusieurs niveaux et inclut un contrôle

Il propose notamment des réglages de configuration qui

technique pour vérifier la conformité.

peuvent être déployés pour se mettre en conformité avec desMITRE ATT&CK : base de connaissances globale sur les

objectifs réglementaires spécifiques.

tactiques utilisées par les pirates, reposant sur l’observationde techniques réelles. Ce cadre sert de fondement audéveloppement de modèles de menaces et de méthodologies
spécifiques. Il est utilisé par divers secteurs et communautés,et on le retrouve fréquemment dans les solutions de sécurité
terminaux.
Objectifs de contrôle pour l’information et les technologies
connexes (COBIT) 2019 : ce cadre créé par l’ISACA définit
des processus génériques de gestion informatique et lesrelie aux objectifs de l’entreprise et de l’informatique. Il décrit
également des mesures pour assurer la responsabilisationdes équipes. Flexible, il peut être à d’autres cadres, comme
ISO 27001, ITIL et autres cadres de gestion de projet
répandus.

Le rôle des références dans la cybersécurité
Guides de mise en œuvre technique de la sécurité (STIG) de

Centre pour la sécurité d’Internet (CIS) : les critères du CIS

l’Agence des systèmes d’information de la défense (DISA) :sont des recommandations de configuration qui concernent

ces normes de configuration sont administrées par leplus de 25 familles de produits. Chaque critère est le fruit desministère américain de la défense (DoD) et contiennent desefforts communs d’experts mondiaux en cybersécurité. Ces

exigences spécifiques pour la sécurisation des systèmes

guides de configuration sécurisés sont acceptés et utilisés

informatiques. Elles couvrent un large éventail de domaines

par les administrations et les secteurs dans le monde entier ;– configurations logiques, protocoles et logiciels – et visentils sont même intégrés comme base fondamentale dansà « améliorer la sécurité des logiciels, du matériel, descertaines solutions de sécurité des terminaux.

architectures physiques et des architectures logiques afinde réduire davantage les vulnérabilités. »Objectifs de performance de cybersécurité (CPG)de l’Agence pour la cybersécurité et la sécurité desNormes de traitement des informations fédérales

infrastructures (CISA) : développés en coordination avec

(FIPS) 200 : également développées par le NIST pour lesla CISA, le NIST et la communauté interagences, les CPG

États-Unis, ces normes s’appliquent aux appareils et systèmesdéfinissent des objectifs cohérents pour tous les types

informatiques non militaires utilisés par l’administrationd’infrastructure critique. Ils aident en particulier les petites etaméricaine et ses sous-traitants. Si les standards FIPS

moyennes organisations à mettre en place des initiatives decouvrent un large éventail de bases de sécurité, FIPS 200

cybersécurité, et jouent le rôle de critères pour mesurer ets’assure que les données utilisées par les agences fédérales

améliorer la maturité en matière de cybersécurité.

ou en leur nom répondent aux exigences minimales desécurité de l’information dans plusieurs catégories d’objectifs.
Elles garantissent des niveaux appropriés de sécurité par
rapport à différents degrés de risques et déterminent les
niveaux d’impact des exigences de sécurité selon la triade
de la CIA.
NIST SP 800-39 : orientations générales utiles lors del’intégration à une solution de gestion pour les entreprises(ERM) complète. Le document fournit des détails spécifiques
sur l’évaluation, la prise en charge et la surveillance desrisques sur une base continue, en conjonction avec d’autres
normes, directives et cadres.

Évaluation des risques + surveillance continue + directives de sécurité = conformité gérée.
« Connais-toi toi-même et tu gagneras toutes les batailles » – Sun Tzu
Pris isolément, ces composants ont une vertu limitée pour les organisations. Mais si vous les réunissez, vous pourrez, dans unpremier temps :• Identifier vos points faibles• Connaître l’état de santé de vos terminaux• Réduire la surface d’attaque à l’aide de configuration durcies• Atteindre vos objectifs de conformité
Mais ce n’est pas tout : vous allez aussi maintenir la conformité en établissant des références que vous suivrez grâce à une
surveillance proactive et à des données télémétriques riches. Vous instaurerez ainsi un cercle vertueux qui améliorera encontinu la posture de sécurité de vos appareils et celle de votre infrastructure dans son ensemble.
Comme on l’a vu, c’est un processus itératif, et pas un projet isolé. La boucle évoquée ci-dessus est celle d’un cycle permanent.
L’ensemble des phases et des composants – contrôles de sécurité, processus, workflows, exigences, politiques, réglages desappareils, utilisateurs finaux et donnée sensible – s’informent et s’ajustent constamment les uns les autres.

Votre organisation fait peut-être partie d’un secteur
réglementé. Ou bien, quelle que soit sa taille,
elle souhaite tout simplement aligner sa stratégie
de cybersécurité sur des règles des contrôles
administratifs, une règle d’utilisation acceptable,
par exemple. Dans tous les cas, vous pouvez
voir tous ces composants comme les rouages
d’une machine qui permet de mieux comprendre
vos besoins de sécurité et quelles informations
permettront de combler les lacunes.
Vous vous dites peut-être : « Je suis administrateur
Mac. Je sais quels risques existent au sein de monorganisation et je suis submergé de données sur lasanté des appareils. Toutes ces directives mettent
en évidence le gouffre qui sépare notre situation
actuelle de la conformité. Que devons-nous
faire maintenant ? Comment parvenir la situation
idéale ? »C’est là que Jamf intervient.
Aider les organisations à réussir avec Apple.

Des technologies telles que l’accès réseau zero-trust (ZTNA)

Plus qu’un simple slogan, ces mots résument à eux seuls

protègent vos appareils en comparant l’état des terminaux

toute la mission de Jamf. C’est notre cœur de métier, tout
simplement. Et quand nous affirmons que Jamf est la
référence pour la gestion d’Apple en entreprise, ce ne sont
pas que des mots. Jamf doit sa réputation aux solutions depointe que nous développons et qui aident d’innombrables
organisations à gérer et sécuriser des millions d’appareils,

à une série de critères ; seuls ceux qui répondent à unniveau de sécurité minimal reçoivent l’accès aux ressources
qu’ils demandent. Conformément au credo « ne jamais faire
confiance, toujours vérifier », une solution ZTNA telle que
Jamf Connect vérifie que l’accès provient d’un appareil inscrit
et fiable. Avec cette approche, la gestion des identités et desdans tous les secteurs d’activité et dans le monde entier.

accès devient la pierre angulaire de votre stratégie de sécurité.

Jamf vous accompagne jour après jour pour vous aider à

Les solutions de sécurité des terminaux, comme Jamf Protect,

exploiter tout le potentiel des produits Apple au travail. Vous
vous demandez sans doute comment nous pouvons fournir
les outils nécessaires à une gestion complète de votre flotteApple, tout en comprenant et en répondant spécifiquement
aux besoins et aux objectifs de conformité de votre

ajoutent un filet de sécurité à vos appareils macOS, iOS,
iPadOS, Android et Windows. Elles les protègent, de mêmeque leurs utilisateurs, contre les menaces potentielles, logiciels
malveillants en tête. Pour ce faire, elles recherchent les
menaces sur l’appareil et le réseau pour accélérer la réponseorganisation.

aux incidents et déclencher des workflows automatisés

Éliminez l’incertitude de la validation des terminaux.

faire de compromis sur la sécurité, la confidentialité et lesPour comprendre vos besoins de sécurité, vous devezconnaître l’état des terminaux utilisés au sein de votreorganisation. Sans des données télémétriques détaillées
pour vérifier l’état de chaque appareil, les administrateurs
ne peuvent qu’émettre des suppositions qui, en cas d’erreur,peuvent avoir des conséquences désastreuses.
En tant qu’administrateur, ce n’est pas tant que vous voulez
savoir : vous devez savoir. Pour être en conformité avec lesréglementations comme avec les règles de l’organisation,
vous devez vérifier l’état des terminaux en permanence.
L’ingénierie sociale est un vecteur d’attaque de choix pourles pirates. Elle cible spécifiquement le risque actuel d’uneorganisation et introduit un risque plus important encore,
en compromettant des identifiants ou en injectant du codemalveillant dans vos systèmes via des appareils infectés.

d’atténuation et de correction. Et tout cela sans jamais
performances.

Cultivez la confiance dans votre infrastructure.
L’histoire ne commence pas au moment où un appareil se

La gestion des applications est un élément central de laconnecte pour la première fois aux ressources de l’entreprise,sécurité. Le déploiement des mises à jour des systèmesmais bien avant cela – avant même que l’appareil ne soit

d’exploitation (OS) et des applications est un enjeu majeur

déballé. Je m’explique.

pour la réussite de tout plan de sécurité. En effet, à quoi

Avec le déploiement zero-touch, un appareil est prêt à
l’emploi dès que l’utilisateur final l’allume pour la première
fois. Ce workflow de déploiement intègre Apple Business
Manager ou Apple School Manager avec Jamf, de façon
automatique et parfaitement sécurisée.
Les appareils peuvent appartenir à l’entreprise ou aux
utilisateurs finaux : Jamf Pro prend en charge plusieurs
modèles de propriété, dont le BYOD. L’inscription de l’appareil
par l’utilisateur garantit sa sécurité sans sacrifier le respectde la vie privée. Et puisque nous parlons de sécurité,
notre solution MDM prend en charge toutes les nouvelles
fonctionnalités d’Apple le jour de leur sortie, à commencer
les améliorations de sécurité et de confidentialité. Vous
pouvez ainsi faire profiter vos utilisateurs des outils qui lesaident à être plus efficaces sans faire de compromis ou
d’exceptions en matière de sécurité des terminaux.

bon comprendre vos besoins de sécurité si vous ne pouvez
pas corriger les problèmes qui surviennent ? Une fois deplus, Jamf Pro s’illustre en simplifiant la gestion du cyclede vie des applications pour les administrateurs Mac : descommandes de gestion permettent d’appliquer les mises
à jour de l’OS à des groupes d’appareils. Et n’oubliez pas
les applications ! Le catalogue d’applications Self Service
de Jamf, associé à la puissance des App Installers, met àla disposition des utilisateurs finaux toutes les applications
utiles. Et vous ces applications sont toujours gérées,automatiquement mises à jour et dans leur état le plus
sécurisé.
La simplification de l’approvisionnement des identités etdes accès est l’un des piliers d’une stratégie de sécurité
globale de défense en profondeur. Lorsqu’il s’agit de gérer
des appareils, en particulier ceux d’équipes distribuées,l’approche Trusted Access change la donne : elle veilleen effet à ce que les utilisateurs de confiance – et eux
seulement – puissent accéder aux appareils et aux
ressources, partout et à tout moment. Dotés d’un moyen
simple de s’authentifier sur leurs appareils, les utilisateurs
ont toutes les cartes en main pour réussir : de l’expérienced’onboarding transparente grâce au déploiement zerotouch à l’accès aux ressources d’entreprise dans leurstâches quotidiennes. Le ZTNA et l’accès conditionnel avec
Jamf Connect concrétisent l’idée qu’une sécurité efficace,évolutive et flexible n’est pas un luxe mais une nécessité.

Trois éléments de sécurité essentiels, une plateforme fiable« Les opportunités se multiplient quandon les saisit. » – Sun Tzu
Trusted Access est une approche holistique de la sécurité.
Complète, elle répond aux besoins de gestion et de sécuritéde toutes les organisations, quel que soit leur secteurd’activité.
Chaque élément de Trusted Access – gestion des appareils,
protection des terminaux, visibilité et conformité – joueun rôle crucial dans une stratégie de sécurité efficace dedéfense en profondeur. Cette approche superpose descontrôles d’accès avancés à des configurations sécuriséespour les appareils, les utilisateurs et les données. Elles’appuie également sur des données de télémétrie pours’adapter à toute évolution de la posture de sécurité de vos
appareils ou de votre organisation, avec un triple objectif :maintenir la sécurité, préserver la confidentialité et rester enconformité avec la loi.
Pour votre flotte Apple, c’est une garantie de flexibilité et desécurité partout, à tout moment, sans la moindre complexité.

Jamf peut vous aider à évaluer vos besoins de sécurité. Contactez-nous pourdécouvrir nos solutions de référence.

Lancez-vous
Vous pouvez également contacter votre revendeur pour essayer Jamf gratuitement.

www.jamf.com/fr© 2023 Jamf, LLC. Tous droits réservés.